A RFC 7515 §4.1.6 especifica base64 padrão com padding para cada certificado, ao contrário de todos os outros valores JOSE, o que confunde os parsers. Os membros relacionados são x5t (impressão digital SHA-1 do certificado) e x5t#S256 (SHA-256), além de x5u, uma URL de onde obter a cadeia.
Uma cadeia no cabeçalho do token não prova nada por si só: qualquer pessoa pode anexar um certificado autoassinado. O verificador deve validar a cadeia até uma âncora de confiança escolhida por ele, conferir a identidade e o uso do certificado e só então usar a chave. Sistemas que verificam com base no certificado incorporado, sem validação de caminho, já se mostraram falsificáveis. Entre os usos legítimos estão os payloads de atestado de dispositivo da Apple e do Google e as assinaturas europeias relacionadas ao eIDAS, em que a verificação com base em listas de confiança faz parte do protocolo.